�d�|����ꂽ�o�b�N�h�A�̌��o�ƑΏ��F�s���N���̎���Ƒ΍�i5�j�i1/2 �y�[�W�j

» 2003�N02��10�� 00��00�� ���J
[�ؑ����C�O�䕨�Y�Z�L���A�f�B���N�V�����������]
��������
���Ђ���ё��g�D��Web�T�C�g�Ȃǂւ̃|�[�g�X�L��������уf�[�^�̎擾�Ȃǂ̍s�ׂœ�������N���ȂǂɈ��p���邩�A�܂��͓����ړI�����‘�O�҂ɒ񋟂������_�ň�@�ƂȂ�܂��B�����ӂ��������B
�{�e�̓��e�����؂���ꍇ�́A�K���e�����y�ڂ��Ȃ�����ꂽ�‹����ōs���ĉ������B
�܂��A�{�e�𗘗p�����s�ׂɂ����Ɋւ��܂��ẮA�M�҂���ъ�����ЃA�b�g�}�[�N�E�A�C�e�B�͈�ؐӔC�𕉂����˂܂��B���������������B

�@�u��4�� �U���҂��N����ɍs���o�b�N�h�A�̐ݒu���v�ł́A�o�b�N�h�A���d�|�����@�̎���������‚��Љ���B����́A�����̃o�b�N�h�A�ւ̑Ώ��ƌ��m���@�ɂ‚��Đ�������B

�Ώ��@ - �o�b�N�h�A���d�|�����Ă��܂�����

�@�N����o�b�N�h�A�̍��Ղ����‚������_�ŁA�T�[�o�Ǘ��҂͂ǂ̂悤�ȑΏ������ׂ����H �Ƃ����₢�ɑ΂��āA�ǎ҂̊F����Ȃ牽�Ɠ����邾�낤���B�����Ă���ӌ��͐l���ꂼ�ꂾ�낤���A���ʍ��ڂƂ��āA�����炭�قƂ�ǂ̕����u���������v�Ɓu�����v��������̂ł͂Ȃ����Ǝv���B

  • ��������
    �N����o�b�N�h�A�̎���A�U���҂̓���A��Q�󋵂̒���
  • ����
    �o�b�N�h�A���ݒu�����O�̈��S�ȏ�Ԃɖ߂�

�@�{�e�ł́A�����̑Ώ��@�ɂ‚��Đ�������B�����͌��������A�����̏��ɍs�����A�����̑Ώ����ǂ��炩���ɍs�����ɂ‚��ẮA�u����Ă���󋵂₻�̑g�D�̃|���V�[��Ǘ��҂̍l�����ɂ���ĈقȂ邽�߁A�����ł͂����ĐG��Ȃ����Ƃɂ���B

�������� - �o�b�N�h�A�ƐN�����Ղ̒���

�@�܂��͐N����o�b�N�h�A�̎���A�U���҂̓���A��Q�󋵂̒�������s���B�{��Ƃ́A���}�ɖ{���̃T�[�r�X���ĊJ�����邽�߁A�v�����“I�m�ɍs���K�v������B���̂��߁A���z�������΂��̂悤�ȍň��̎��Ԃɔ����A�ǂ��������������K�v�ɂȂ�̂��ɂ‚��āA���炩���ߕ����Ȃǂɂ܂Ƃ߂Ă����̂��悢���낤�B�������Ă����ƁA���ۂɓˑR���̏󋵉��ɒu���ꂽ�ꍇ�ł��A��r�I�Q�Ă��ɒ������s�����Ƃ��ł��A�܂�����~�X��U������”\�������邾�낤�B

���������̑O�Ɂi�b���̎��{�Ə����j

�@���������̑O�ɍs��Ȃ���΂Ȃ�Ȃ����Ƃ������‚�����B

  1. �s�R�ȃT�[�o�̓l�b�g���[�N����؂藣��
  2. �����񂳂�Ă��Ȃ����S�ȃR�}���h�̏���
  3. �����p�p�\�R���̏���
  4. �����Ǝ��v�̏����i���lj��j

1.�l�b�g���[�N����؂藣��

�@�����A��茵���Ȍ����������s�������ꍇ�́A�ΏۃT�[�o�����̎��_�Ńl�b�g���[�N����؂藣���Ȃ������悢���낤�B�Ⴆ�ΒʐM���̃l�b�g���[�N�̏󋵂Ȃǂ́A���̂܂܂̏�ԂŒ������Ȃ��ƁA���m���ȏ��𓾂邱�Ƃ��ł��Ȃ����炾�B�Ȃ��A�����Ő؂藣���Ȃ��ꍇ�́A�x���Ƃ���q�́u���������̎菇�v���I���������_�Ő؂藣���悤�ɂ��悤�B

�@�����ł͂Ȃ��A�����Ȓ�����������ȏ��Q���g�傳�������Ȃ��i�ʃT�[�o�ɉe�����y�ڂ������Ȃ��j�ꍇ�́A���̎��_�őΏۃT�[�o�𕨗��I�ɏ]���l�b�g���[�N����؂藣�����B�����Đ؂藣������́A���������̂��߂ɓƗ������l�b�g���[�N�ɐڑ��������Ƃ悢���낤�B

2.���S�ȃR�}���h�̏���

�@�o�b�N�h�A�ɂ�茴�������̍ۂɎg�p����R�}���h�������񂳂�Ă����ꍇ�A���������ʂ������Ȃ����ꂪ����B�����������P�[�X���l�����āA���炩���߃X�^�e�C�b�N�o�C�i���`���̈��S�ȃR�}���h�Q��CD-ROM�Ȃǂ̃��f�B�A�Ɋi�[���Ă����A���������̍ۂɑΏۃT�[�o��Ń}�E���g���Ďg�p����Ƃ悢�B

�@���������s����R�}���h�́A�m���ɂ��̃��f�B�A�̂��̂��g�p�����悤�ɁA��΃p�X���w�肷��K�v������B��1�Ȃ��A�{�e�ł͈��S�ȃR�}���h��/cdrom/bin�ȉ��Ɋi�[����Ă�����̂Ƃ��Ęb��i�߂�B

��1
���̂��Ƃ́ALKM�i���[�_�u���J�[�l�����W���[���j�^�̃o�b�N�h�A�̑O�ł́A���Ӗ��ɂȂ��Ă��܂����Ƃɒ��ӂ��K�v�ł���B

3.�����p�p�\�R���̏���

�@�����p�̃p�\�R����1�䏀�����A�ΏۃT�[�o�Ɠ����l�b�g���[�N�ɐڑ����Ē������邱�Ƃ������߂���B�������̂͑ΏۃT�[�o�Ƀ����[�g���O�C�����Ă���s�����ƂɂȂ邪�A���O�C���Ɠ����ɁA�o�b�N�h�A�ɂ�鉽�炩�̕s�������������A���܂܂��ɐN�����Ă���U���҂ɋC�t����Ă��܂��A�؋��A�ł�d�v�ȃt�@�C����������Ă��܂��”\��������B���̂��ߒ����͏\���T�d�ɍs���K�v������B���ɐN�����̍U���҂��h������悤�ȍs�ׂ͐�΂ɍs���Ă͂����Ȃ��B���̏ꍇ�́A���₩�ɑΏۃT�[�o���l�b�g���[�N����؂藣������������낤�B

�@���O�C��������у��O�C����̒�����Ƃ́A��ʃ��[�U�[�����ōs�����Ƃ������߂���B�Ǘ��Ҍ����iroot�j�ōs��Ȃ��̂́A�����ꑀ��~�X���������ꍇ�ɃV�X�e���ɗ^����e������ʃ��[�U�[�Ɣ�ׂđ傫���Ȃ邽�߂��B���̂��ߊǗ��Ҍ����́A�K�v�Ȏ��i��q��lsof�Afind�Achkrootkit�Atar�Ȃǁj�̂ݎg���悤�ɂ��A����ȊO�͈�ʃ��[�U�[�����Œ������邱�Ƃ������߂���B���̂��Ƃ́A�ʏ�̃T�[�o�^�p�ɂ����Ă��������Ƃ������邾�낤�B

�@�Ȃ��A�����p�̃p�\�R���������ł��Ȃ��ꍇ�́A�ΏۃT�[�o�̃��[�J���R���\�[�����烍�O�C�����������s�����ƂɂȂ邪�A�����[�g���O�C���Ɠ��l�A�ʏ�͈�ʃ��[�U�[�����Œ������邱�Ƃ������߂���B

4.�����Ǝ��v�̏����i���lj��j

�@�������Ɏ��s�����R�}���h�̎����⌋�ʂɂ‚��ẮA��q��script�R�}���h�ɂ��L�^�Ƃ͕ʂɁA���ɋL�^���Ă������Ƃ������߂���B���̂��߂ɂ́A�����p���A�M�L�p��A���v��Y�ꂸ�ɗp�ӂ��Ă������ƁB�܂��A�ΏۃT�[�o�̃V�X�e�����v�����ۂ̎����Ƃ���Ă����ꍇ�́A���̍��ق��L�^���Ă������ƁB

���������̎菇

�@�ł́A���������̎菇��ǂ��Ă݂悤 �B

  1. �����R�}���h���s���e�̕ۑ��iscript�j
  2. ���O�C�������̃`�F�b�N�iw�Alast�j
  3. ���s�v���Z�X�̃`�F�b�N�ips�j
  4. �ʐM�̃`�F�b�N�inetstat�Alsof�Anmap�j
  5. MAC time�̍̎�imac-robber�j�i���lj��j
  6. �s�R�ȃt�@�C���̃`�F�b�N�ifind�Astrings�j
  7. �o�b�N�h�A�c�[���̌��o�ichkrootkit�j
  8. ���O�ƒ������ʂ̎��W

1.�����R�}���h���s���e�̕ۑ��iscript�j

�@�܂��͌��������̂��߂Ɏ��s������A�̃R�}���h�Ƃ��̌��ʂ����O�Ƃ��ĕۑ�����B�ۑ�����ɂ�script�R�}���h���g���Ƃ悢�B

�@�����p�̃p�\�R��������ꍇ�́Ascript�R�}���h�𒲍��p�p�\�R���̃^�[�~�i����Ŏ��s����΂悢���A�����łȂ��ꍇ�͑ΏۃT�[�o�Ŏ��s���邱�ƂɂȂ�B

% script /tmp/chousa.log

����
�{�e���̎��s�R�}���h�̐擪�́u%�v�͈�ʃ��[�U�[�����A�u#�v�͊Ǘ��Ҍ����iroot�j�ɂ��R�}���h�̎��s���Ӗ�����B

�@����ȍ~�A���̃^�[�~�i���Ŏ��s�������ʂ͂��ׂ�/tmp/chousa.log�t�@�C���Ɋi�[�����B�Ȃ��Ascript�R�}���h���I���������ꍇ�́Aexit�����s����΂悢�B

2.���O�C�������̃`�F�b�N�iw�Alast�j

�@w�Alast�R�}���h���g���A���ꂪ�A���A�ǂ����烍�O�C�����A�������s�����̂����m�F����B

�i1�jw�i���݂̃��[�U�[�󋵂̕\���j

�@���݃��O�C�����̃��[�U�[���������Ă��邩�𒲍�����B

% /cdrom/bin/w
4:45pm up 3 days, 21:27, 2 users, load average: 0.00, 0.00, 0.00
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
root pts/0 172.16.10.10 4:05pm 1:05 0.32s 0.19s vim sshd_config
y-kimura pts/1 192.168.0.142 4:42pm 0.00s 0.23s 0.03s w

�@��L�ł́A172.16.10.10�iFROM�j����root���O�C�����iUSER�j�Avi�i��L�ł�vim�R�}���h�j��sshd_config�t�@�C����ҏW���Ă���iWHAT�j���Ƃ�������B

�i2�jlast�i���O�C�������̕\���j

�@�ߋ��̃��O�C�������𒲍�����B

% /cdrom/bin/last
y-kimura pts/2 192.168.0.142 Sun Jan 19 16:42 still logged in
root pts/1 172.16.10.10 Sun Jan 19 16:05 still logged in
kimu pts/1 192.168.0.200 Thu Jan 16 03:34 - 03:39 �i00:04�j
reboot system boot 2.4.18-3 Mon Jan 13 20:32 �i5+20:11�j

�@��L����ȉ��̂��Ƃ�����������B

  • ���݃��O�C�����̃��[�U�[�istill logged in�j�́Ay-kimura��root�ł���B
  • ���[�U�[kimu ��1��16����3:34?3:39�̊ԃ��O�C�����Ă����B
  • �T�[�o���ċN���i���u�[�g�j�����̂́A1��13��20:32�ł���B

��L���ʂ��A�O���i172.16.10.10�j����root�Ń��O�C�����Ă���s�R�ȃ��O�C������������̂��m�F�ł���B

3.���s�v���Z�X�̃`�F�b�N�ips�j

�@ps�R�}���h���g���A�s�R�ȃv���Z�X�����݂��邩�ǂ����𒲍�����B

% /cdrom/bin/ps -ef
UID PID PPID C STIME TTY TIME CMD
root 1 0 0 Jan13 ? 00:00:04 init
root 2 1 0 Jan13 ? 00:00:00 [keventd]

�c�c�ȗ��c�c

root 11397 1 0 Jan19 ? 00:00:02 emacs -display 172.16.10.10:0.0
root 11446 1 0 Jan19 ? 00:00:00 /usr/sbin/xinetd -f /tmp/.inetd.conf

�@���̌��ʁA�O��d�|�����o�b�N�h�A�v���Z�X�iemacs�Axinetd�j���m�F���邱�Ƃ��ł����B

4.�ʐM�̃`�F�b�N�inetstat�Alsof�Anmap�j

�@�s�R�ȒʐM�����‚��o�����߂ɂ͓����ƊO���̑o�����璲�����s���K�v������B

�i1�j��������̒��� �inetstat�Alsof�j

�@�T�[�o�������璲�����邽�߂ɂ́Anetstat��lsof�Ƃ������R�}���h���g�p����Ƃ悢�B

  • netstat ���g��

netstat�R�}���h���g���ƁA���ݐڑ����̒ʐM�̗l�q��T�[�o�őҋ@���Ă���|�[�g������o�����Ƃ��ł���B

% /cdrom/bin/netstat -an
Active Internet connections �iservers and established�j
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:111 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:8888 0.0.0.0:* LISTEN

�c�c�ȗ��c�c

tcp 0 912 192.168.0.10:22 172.16.10.10:65522 ESTABLISHED
tcp 0 0 192.168.0.10:32769 172.16.10.10:6000 ESTABLISHED
tcp 0 0 192.168.0.10:22 192.168.0.142:65515 ESTABLISHED

�c�c�ȗ��c�c

udp 0 0 0.0.0.0:32769 0.0.0.0:*
udp 0 0 192.168.0.10:53 0.0.0.0:*
udp 0 0 0.0.0.0:111 0.0.0.0:*

Proto��tcp��State��LISTEN�̍s�́A���̃T�[�o�őҋ@���Ă���TCP�|�[�g�������AState��ESTABLISHED�̍s�͐ڑ�����TCP�̒ʐM�������Ă���B�܂��AProto��udp�̍s�͑ҋ@���Ă���UDP�|�[�g�������Ă���B

  • lsof���g��

lsof�R�}���h���g���āAnetstat�Ɠ����悤�ȒʐM�̗l�q���o�͂��邱�Ƃ��ł���B

# /cdrom/bin/lsof -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
portmap 534 root 3u IPv4 901 UDP *:sunrpc
portmap 534 root 4u IPv4 922 TCP *:sunrpc �iLISTEN�j
rpc.statd 556 root 4u IPv4 964 UDP *:32768


�c�c�ȗ��c�c

�i2�j�O������̒����inmap�j

  • nmap���g��

netstat��lsof�œ������璲�����Ă��A�O��Љ��adore�̂悤��LKM�^�̃o�b�N�h�A���g�p���ē���̒ʐM���B�؂������ƌ��o���邱�Ƃ��ł��Ȃ��B�����������ꍇ�A�O������ΏۃT�[�o�ɑ΂��ă|�[�g�X�L�������s���̂��悢���낤�B�����ł�nmap���g�p���āA�|�[�g�X�L���������{����B

# nmap -sT -p 1-65535 192.168.0.10

Starting nmap V. 3.00 �iwww.insecure.org/nmap/ �j
Interesting ports on www.example.co.jp �i192.168.0.10�j:
�iThe 65535 ports scanned but not shown below are in state: closed�j
Port State Service
22/tcp open ssh
25/tcp open smtp
53/tcp open domain
80/tcp open http
111/tcp open sunrpc
443/tcp open https
5680/tcp open canna
8888/tcp open sun-answerbook


Nmap run completed -- 1 IP address �i1 host up�j scanned in 218 seconds

��L�͑STCP�|�[�g�i1-65535�j�ɑ΂��ă|�[�g�X�L�������s���Ă���B�K�v�ł����UDP�X�L�����i-sU�j���s���Ƃ悢�B�o�͌��ʂƂ��āA8888/tcp�Ƃ���������Ȃ��|�[�g���ҋ@���ł��邱�Ƃ�������i��4��́uxinetd�̃o�b�N�h�A�v�̍��ڎQ�Ɓj�B

5.MAC time�̍̎�imac-robber�j�i���lj��j

�@�����_�̑ΏۃT�[�o��̑S�t�@�C���̃^�C���X�^���v�iMAC time�j���̎悵�Ă����BMAC time���̎悷��ɂ́A�����̃R�}���h�ł����ls�i-l, -ul, -cl�I�v�V�����j��stat���g���΂悢�B�c�[���ł����Dan Farmer��Wietse Venema������The Coroners Toolkit(TCT)��Grave-robber��@stake��mac-robber�Ȃǂ��m���Ă���B�����ł́A��X�̉�͂��e�Ղ�@stake�񋟂�mac-robber���g����MAC time�̍̎����Љ��B

�@�Ȃ��AMAC time�̍̎�ɂ͂���Ȃ�̎��Ԃ�v���Ă��܂��B���̂��߁A�l�b�g���[�N�ɐڑ������܂܂̏�ԁi�I�����C���j�Ŗ{��Ƃ��s���ƁA��Q���g�傷��”\������荂���Ȃ邱�Ƃ��\���ɗ������Ă����K�v������B���S�����Ƃ�̂ł���΁A���̎��_�őΏۃT�[�o���l�b�g���[�N����؂藣���i�I�t���C����Ԃɂ��āj�AMAC time���̎悵����������낤�B

�i1�j�R���p�C��

�@mac-robber��W�J���R���p�C������B�R���p�C�������������mac-robber�Ƃ������s�t�@�C�����ł�������B

$ tar zxvf mac-robber-1.00.tar.gz
$ cd mac-robber-1.00
$ make
$ gcc -O3 -Wall -static -o mac-robber mac-robber.c

�@�W���ł̓X�^�e�B�b�N�����N�`��(gcc��-static�w��)�̎��s�t�@�C��mac-robber���쐬�����B����mac-robber�́A��q�̈��S�ȃR�}���h�Q���i�[����Ă���CD-ROM�Ɋi�[���Ă����Ƃ悢���낤�B

�i2�j���s �iMAC time�̍̎�j

�@�S�t�@�C����MAC time�����[�J���f�B�X�N��/tmp/mactime.log�ɏo�͂������ꍇ�́A�ȉ��̂Ƃ�����s����΂悢�B

# cd mac-robber-1.00
# ./mac-robber / > /tmp/mactime.log

�@�܂��A���ʂ����[�J���f�B�X�N�̃t�@�C���ɏo�͂����ɁA�����p�p�\�R��(192.168.0.142)���mactime.log�t�@�C���ɏo�͂���ꍇ�́Anetcat���g���Ƃ������@������B

# ./mac-robber / | nc 192.168.0.142 2222

�@���̏ꍇ�A�����p�p�\�R����2222/tcp�ɂāA

# nc -l -p 2222 > mactime.log

�����O�Ɏ��s����K�v������B

�i3�j��� �iTASK mactime�j

�@mac-robber�̌��ʂ���͂���ɂ́A@stake�񋟂�TASK�Ɋ܂܂��mactime�iTCT��mactime���x�[�X�j���g���΂悢�B�Ȃ��A�{��Ƃ͂����ł͍s�킸�A��ł�������ƒ������������悢���낤�B

$ tar zxvf task-1.60.tar.gz
$ cd task-1.60
$ make mactime �imactime�̂ݐ����j
$ ./bin/mactime -b /tmp/mactime.log 01/10/2003-01/20/2003

�@��L�̗�́A��q��mac-robber�ō̎悵�����O�i/tmp/mactime.log�j���A2003�N1��10������2003�N1��20���܂łɍX�V���ꂽMAC time�̏����o�͂��Ă���B�Ȃ��A���t������MM/DD/YYYY�̌`���Ŏw�肷��i-y�I�v�V������YYYY/MM/DD�̌`���j�B

6.�s�R�ȃt�@�C���̃`�F�b�N�ifind�Astrings�j

�i1�jsetuid�isetgid�j�t�@�C���̃`�F�b�N

�@find�R�}���h���g���A�T�[�o���setuid�isetgid�j���ꂽ�t�@�C���̒��ŁA�s�R�Ɏv������̂����݂��邩�ǂ������`�F�b�N����B�ȉ��͂��̈��ł���B

# /cdrom/bin/find / -type f \�i-perm -u+s -o -perm -g+s \�j -ls
32880 36 -rwsr-xr-x 1 root root 34296 Mar 28 2002 /usr/bin/chage
32882 36 -rwsr-xr-x 1 root root 36100 Mar 28 2002 /usr/bin/gpasswd
32962 40 -rwsr-xr-x 1 root root 37528 Jan 18 2002 /usr/bin/at

�c�c�ȗ��c�c

507958 16 -rwsr-xr-x 1 root root 13847 Dec 12 23:14 /var/www/cgi-bin/.exploit

�@�w�肵���I�v�V������-type f �̓t�@�C���^�C�v���t�@�C���̂��̂̂ݕ\������悤�ɂ��A-perm�A-u+s�����-perm�A-g+s�ŁAsetuid�Asetgid���ꂽ�t�@�C�������ꂼ��\�����Ă���B�܂��A-ls��lj����Als�R�}���h�`���Ńt�@�C���̏ڍד��e�̕\�����s���Ă���B

�@��L�̎��s���ʂɂ́A�O��쐬�����o�b�N�h�ACGI�v���O������/var/www/cgi-bin/.exploit�����o����Ă��邱�Ƃ�������B

�i2�j�o�C�i���t�@�C���̃`�F�b�N �istrings�j

�@�s�R�ȃo�C�i���t�@�C�������‚�����Astrings�R�}���h���g���A���ꂪ�ǂ����������Ƃ��s���Ă���̂��`�F�b�N����Bstrings �ɂ���Ă��ׂĂ�������Ƃ����킯�ł͂Ȃ����A��̂̓��e��c������ɂ͂��傤�ǂ悢���낤�B

# /cdrom/bin/file /var/www/cgi-bin/.exploit
/var/www/cgi-bin/.exploit: setuid ELF 32-bit LSB executable, Intel 80386, version 1 �iSYSV�j, dynamically linked �iuses shared libs�j, not stripped


# /cdrom/bin/strings /var/www/cgi-bin/.exploit
/lib/ld-linux.so.2
libc.so.6
printf
system
__deregister_frame_info
_IO_stdin_used
__libc_start_main
setuid
__register_frame_info
__gmon_start__
GLIBC_2.0
PTRh
QVhp
Content-Type: text/html
emacs -display 172.16.10.10:0.0 &
#

�@C�����printf�Asystem�Asetuid�Ƃ������֐����Ăяo����A����ɂ�emacs�R�}���h�����s������IP�A�h���X�i172.16.10.10�j�ɏo�͂����݂Ă���CGI�v���O�����ł��邱�Ƃ�������B

7.�o�b�N�h�A�c�[���̌��o�ichkrootkit�j

�@chkrootkit�́ANelson Murilo�������S�ƂȂ��ĊJ����i�߂Ă���UNIX�p�̃o�b�N�h�A���o�c�[���ŁA��ȓ����͈ȉ��̂Ƃ���ƂȂ�Achkrootkit��p�������o���@�����Ă������B

chkrootkit�̓���
���m�̃o�b�N�h�A�̌��o
�v���~�X�L���X���[�h�̌��o
lastlog�̉�����`�F�b�N
wtmpx�̉�����`�F�b�N�iSolaris�̂݁j
LKM�^�o�b�N�h�A�̌��o
�t�@�C�����̕�����`�F�b�N

�i1�j�R���p�C��

�@chkrootkit�����s���邽�߂ɕK�v�Ȋe��R�}���h�Q���R���p�C������B

# tar zxvf chkrootkit-0.38.tar.gz
# cd chkrootkit-0.38
# make sense
gcc -DHAVE_LASTLOG_H -o chklastlog chklastlog.c
gcc -DHAVE_LASTLOG_H -o chkwtmp chkwtmp.c
gcc -DHAVE_LASTLOG_H -o ifpromisc ifpromisc.c
gcc -o chkproc chkproc.c
gcc -o chkdirs chkdirs.c
gcc -o check_wtmpx check_wtmpx.c
gcc -static -o strings strings.c
#

�@check_wtmpx�Achkdirs�Achklastlog�Achkproc�Achkwtmp�Aifpromisc�Astrings�Ƃ��������s�`���̃t�@�C�������������B�����̃t�@�C���i�R�}���h�j�́A�V�F���X�N���v�g��chkrootkit������s�����̂ŁA�ʏ�͌•ʂɎ��s����K�v�͂Ȃ��B

�i2�j���s�O��

�@���s����O��chkrootkit�̃I�v�V�������m�F���Ă����B

# chkrootkit -h
Usage: ./chkrootkit [options] [test ...]
Options:
-h show this help and exit
-V show version information and exit
-l show available tests and exit
-d debug
-q quiet mode
-x expert mode
-r dir use dir as the root directory
-p dir1:dir2:dirN path for the external commands used by chkrootkit
#

�I�v�V���� ����
-h �w���v���b�Z�[�W�̕\��
-V chkrootkit�̃o�[�W�����\��
-l �e�X�g���[�h
-d �f�o�b�O���[�h
-q �K�v�ŏ����̃��b�Z�[�W�o��
-x �ڍ׃��[�h
-r dir �`�F�b�N���������[�g�f�B���N�g���̎w��
-p dir1:dir2:dirN chkrootkit�Ŏg�p����R�}���h���i�[����Ă���f�B���N�g��

�@�܂��A-l���w�肵�āA�����ΏۂƂȂ�e��v���O�������m�F���Ă����B

# ./chkrootkit -l
./chkrootkit: tests: aliens asp bindshell lkm rexedcs sniffer wted scalper slapper z2 amd basename biff chfn chsh cron date du dirname echo egrep env find fingerd gpm grep hdparm su ifconfig inetd inetdconf identd killall ldsopreload login ls lsof mail mingetty netstat named passwd pidof pop2 pop3 ps pstree rpcinfo rlogind rshd slogin sendmail sshd syslogd tar tcpd tcpdump top telnetd timed traceroute w write

�i3�j���s

�@���s�͒P��./chkrootkit �Ƃ���΂悢���A�����ł�-q�ŕK�v�ŏ����̏��݂̂��o�͂��A-p�ň��S�ȃR�}���h���i�[����Ă���p�X�i/cdrom/bin�j���w�肵���B

# ./chkrootkit -q -p /cdrom/bin
Checking 'inetd'... INFECTED


/usr/lib/perl5/site_perl/5.6.0/i386-linux/auto/NKF/.packlist /usr/lib/perl5/5.6.1/i386-linux/.packlist

Possible Ramen worm installed
Warning: Possible Ramen Worm installed in inetd.conf
Warning: Possible Ramen Worm installed �i/sbin/asp�j


eth0 is not promisc


Checking 'slapper'... not infected
Checking 'z2'...
nothing deleted

�@���s���ʂ��Ainetd�̉����񂨂��Ramen worm�Ǝv����o�b�N�h�A�����o���ꂽ���Ƃ�������B�Ȃ��A��chkrootkit�̃o�[�W�����́ALKM�̃`�F�b�N���Â��̂��A�c�O�Ȃ���O��Љ��adore LKM�𐳂������o���邱�Ƃ��ł��Ȃ��B

8.���O�ƒ������ʂ̎��W

�i1�j���O�̎��W

�@��ł�������ƒ������邽�߁A���O��V�X�e���t�@�C���̃o�b�N�A�b�v�����A�����p�̃p�\�R���ɂł��]�����Ă������Ƃ������߂���B�e��t�@�C�������W����ɂ́Atar�R�}���h���g�p����Ƃ悢�Btar�R�}���h�͕����̃t�@�C����1�‚ɂ܂Ƃ߂Ă����@�\�����i�A�[�J�C�u�j�B�����ł̓V�X�e���t�@�C����/etc�ȉ��A���O��/var/log�ȉ��̃f�B���N�g���Ɋi�[����Ă�����̂Ƃ��Đ�������B�܂��Atar��GNU�ł�tar���g�p���Az�I�v�V������gzip�ɂ�鈳�k���s�����Ƃɂ����B

# cd /
# tar cfz /tmp/backup-etc.tar.gz etc
# tar cfz /tmp/backup-varlog.tar.gz var/log

�@���s�������ʁA/tmp�ȉ���backup-etc.tar.gz��backup-varlog.tar.gz���쐬�����B�Ȃ��A�A�[�J�C�u�������ʂ��m�F����ꍇ�́A���̂Ƃ�����s����΂悢�B

# tar ztf /tmp/backup-etc.tar.gz
etc/
etc/sysconfig/
etc/sysconfig/network-scripts/
etc/sysconfig/network-scripts/ifup-aliases

�c�c�ȗ��c�c

# tar ztf /tmp/backup-varlog.tar.gz
log/
log/canna/
log/lastlog
log/messages

�c�c�ȗ��c�c


�i2�j�������ʂ̎��W

�@���s�����R�}���h�̗����i/tmp/chousa.log�j�⃍�O��V�X�e���t�@�C���̃o�b�N�A�b�v���A�o�b�N�A�b�v���f�B�A�������p�̃p�\�R���Ƀt�@�C���]�����A��ł�������Ǝ����Œ������邩�A���@�ւɒ������˗�����΂悢�B������񂷂ׂĂ���@�ւɈ˗�����Ƃ����I����������B�Ȃ��A�̎悵�����O�ichousa.log�j��o�b�N�A�b�v�t�@�C���́AMD5�n�b�V���Ȃǂł��ꎩ�g�̐��������Y�ꂸ�ɕۑ����Ă������B

% /cdrom/bin/md5sum chousa.log > chousa.log.md5
% cat chousa.log.md5
3b3ec6b49509c80567252bdfe2181d69 chousa.log

�@�܂��A�������O����уA�[�J�C�u�f�[�^�̃o�b�N�A�b�v�������������_�ŁA�����̃t�@�C���͑ΏۃT�[�o����폜���Ă������B

�y�d�v�z�Ȃ��A�������ʂ͑ω΋��ɂȂǂɓ��ꌵ�d�ɕۊǂ��Ă����Ƃ悢���낤�B�i���lj��j

�R���� �` MAC time�̏d�v���i���lj��j

�@�u5. MAC time�̍̎�v�ł��Љ�����A���������̍ۂɏd�v�Ȏ�|����ƂȂ蓾��AMAC time�ɂ‚��ď���������Ă����B

�@UNIX��Windows�Ȃǂ̃t�@�C���V�X�e���ł́A���̂��̂̃t�@�C����f�B���N�g����mtime�Aatime�Actime�Ƃ�����3�‚̎��������i�^�C���X�^���v�j���ۑ�����Ă���B�����̎��������́A���ꂼ��̓������������MAC time�ƌĂ΂�Ă���B

���� �Ӗ� �����̕ύX������1
mtime �t�@�C���̍ŏI�C������ �t�@�C���̓��e���ύX���ꂽ�ꍇ�i�t�@�C�������mknod�i2�j�Atruncate�i2�j�Autime�i2�j�Awrite�i2�j�Ȃǂ̃V�X�e���R�[���𗘗p�����ꍇ�j
atime �t�@�C���̍ŏI �A�N�Z�X���� �t�@�C���̓��e�ɃA�N�Z�X�����ꍇ �i�t�@�C�������execve�i2�j�Amknod�i2�j�Apipe�i2�j�Autime�i2�j�Aread�i2�j�Ȃǂ̃V�X�e���R�[���𗘗p�����t�@�C��������s�����ꍇ�j
ctime �t�@�C�����̍ŏI�ύX���� �t�@�C���ւ̏������݂�i�m�[�h����ύX�����ꍇ�i�t�@�C�������chmod�i2�j�Achown�i2�j�Amknod�i2�j�Alink�i2�j�Ȃǂ̃V�X�e���R�[���𗘗p�����ꍇ�j
�\1 UNIX�ɂ�����MAC time
��1 �ύX������UNIX�V�X�e���R�[���́Aman 2 lstat�R�}���h�ȂǂŊm�F�ł���B

�@�\1�Ɏ����Ƃ���AMAC time�ɂ́A�ΏۃT�[�o��ōs�������܂��܂ȃt�@�C������̃^�C���X�^���v���ێ�����Ă���B�������������́A�N���ҁi���邢�̓o�b�N�h�A�j���A���A�ǂ̃t�@�C�����쐬�A������A�A�N�Z�X�����̂�����肷�邽�߂̏d�v�Ȏ�|����i�؋��j�ɂ��Ȃ蓾��B���̂��߁AMAC time����舵���ꍇ�́A�ȉ��̓_�ɒ��ӂ��Ȃ���\���T�d�ɍs�����Ƃ������߂���B

  • ���������̍ۂ͐T�d��

�@���������ōs���菇�i���s����R�}���h�j�ɂ���ẮA�����_�̃t�@�C����MAC time��ύX���Ă��܂��”\�������邱�Ƃɒ��ӂ��邱�ƁB�Ⴆ�΁A�u���������̎菇�v�Ŏg�p���Ă���strings�R�}���h�̏ꍇ�A���s����ƑΏۃt�@�C���ł���.exploit�̍ŏI�A�N�Z�X�����iatime�j���ύX����Ă��܂��B���̂��߁AMAC time�́A�����������R�}���h�����s����O�ɍ̎悵�������悢�B

  • MAC time�͉�����”\

�@MAC time�́A�K���������m�ȏ��ł���Ƃ͌���Ȃ����Ƃɒ��ӂ��悤�B�Ȃ��Ȃ�MAC time�́A�N���ҁi�o�b�N�h�A�j�ɂ���ĈӐ}�I�ɉ����񂳂�Ă���”\�������邩�炾�B

  • MAC time�̕ێ����x�̈Ⴂ

�@����������؋��ۑS�̂��߂Ƀo�b�N�A�b�v�����f�[�^���A�{���Ƃ͈قȂ�t�@�C���V�X�e���ɖ߂��ꍇ�A�߂���̃t�@�C���V�X�e�����L�^�ł��鎞���̐��x�i����\�j�ɂ���ẮAMAC time���ύX���Ă��܂��”\��������B

�@�Ⴆ�΁AUNIX�t�@�C���V�X�e���̃f�[�^��Windows��FAT�ɃR�s�[�����ꍇ�A�e�t�@�C����MAC time�͋����b�ɂȂ��Ă��܂��B����́AFAT�̃t�@�C���쐬�����������b�P�ʂł����L�^�ł��Ȃ����߂ŁAUTC 1970�N1��1��0��0��0�b����b�P�ʂŋL�^���Ă���UNIX�t�@�C���V�X�e���̃t�@�C����FAT�ɃR�s�[����ƁA��b�͂��ׂċ����b�ɌJ��グ�ƂȂ��Ă��܂��B���̂��Ƃ́ANTFS����FAT�ɂ����Ă����l�̖�肪��������B

�y�Q�l�z�}�C�N���\�t�g �T�|�[�g�Z�p���
�mNT�nNTFS����FAT�ւ̃t�@�C���̃R�s�[���ɓ������ς��
http://support.microsoft.com/default.aspx?scid=kb;ja;JP402160


�@�@�@�@�@�@ 1|2 ���̃y�[�W��

Copyright © ITmedia, Inc. All Rights Reserved.

'; this.insertTarget = document.querySelector('#cmsBody .subscription') || document.querySelector('#cmsBody .inner'); }; BodyAdIMSWithCCE.prototype = Object.create(BodyAdContent.prototype); BodyAdIMSWithCCE.prototype.activate = function () { refreshGam('InArtSpecialLink'); } // global reference window.itm = itm; //entry point BodyAdEventBase.polyfill(); const bodyAdManager = BodyAdManager.getInstance(); bodyAdManager.addEventListener(BodyAdManager.EVENTS.READY, function (ev) { bodyAdManager.loadAdvertise(); }); bodyAdManager.init(); })();
�X�|���T�[����̂��m�点PR

���ڂ̃e�[�}

Microsoft  WindowsőO2025
AI for GWjAO
[R[h^m[R[h Zg by IT - ITGWjArWlX̒SŊ􂷂gD
Cloud Native Central by IT - XP[uȔ\͂gD
�V�X�e���J���m�E�n�E �y�����i�r�zPR
���Ȃ��ɂ������߂̋L��PR

RSS�ɂ‚���

�A�C�e�B���f�B�AID�ɂ‚���

���[���}�K�W���o�^

��IT�̃��[���}�K�W���́A �������A���ׂĖ����ł��B���Ѓ��[���}�K�W�������w�ǂ��������B